Network/iptables

Linux関連のFirewall、っていうかパケットフィルタリングの定番、iptablesを使ってみます。

Ubuntu Server 16.04.2 LTS で構築しています。

インストール†

# sudo apt install iptables

使い方†

リスト表示†

# sudo iptables  -L  (もしくは --list)
# sudo iptables  --list -n -v (詳細に。)

たとえば、HTTPは任意のIPから許可。†

# sudo iptables  -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

たとえばsshは所定のIPだけ許可†

# sudo iptables -A INPUT -p tcp -s 192.168.0.10/32 --dport 22 -j ACCEPT

[linux-users:103966] Re: iptables -m tpc をみると、-p tcp をつけてる限り、-m tcp はあってもなくても変わらない、、、ぽいです。

設定の保存†

上記のように変更した内容は、再起動したら消えてしまうようで、保存するには下記のツールを使用します。

# sudo apt list  iptables-persistent
# sudo apt install iptables-persistent

保存と、読み込み

# sudo /etc/init.d/netfilter-persistent  save
# sudo /etc/init.d/netfilter-persistent  reload

設定は

# sudo cat /etc/iptables/rules.v4

ココに反映されるようですね。

• Ubuntuでiptablesの設定をiptables-persistentで永続化する

デフォルトのポリシーを替える†

install直後の初期状態はこちら。

# sudo iptables --list
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

なんでも許可になっていますね。以下のように変更してみます。

# sudo iptables -P INPUT DROP  // 自分への送信先のばあい、はすべて破棄
# sudo iptables -P FORWARD DROP   // ルーティング？時はすべて破棄
# sudo iptables -P OUTPUT ACCEPT  // 自分からの送信のばあい、はすべて許可

$ sudo iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination

Chain FORWARD (policy DROP)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

デフォルトの設定が変更されました。あ、この状態で、リモートで接続している場合は遮断されるのでご注意。

sshでつないでる場合は、上記より先に

# sudo iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 22 -j ACCEPT

とやってSSHを許可しておいたり、

# sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

すでに確立されている接続についての応答パケットなどは許可、などを入れておきましょう。

よくある設定？†

# sudo iptables -F     // defaultのポリシー以外の初期化。INPUTが DROPだとココで接続切れるので注意。
# sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT    //セッション確立後の応答パケットとかなどは許可
# sudo iptables -P INPUT DROP  // 自分への送信先のばあい、はすべて破棄
# sudo iptables -P FORWARD DROP   // ルーティング？時はすべて破棄
# sudo iptables -P OUTPUT ACCEPT  // 自分からの送信のばあい、はすべて許可
# sudo iptables -A INPUT -p icmp -j ACCEPT // pingなどICMPは許可
# sudo iptables -A INPUT -i lo -j ACCEPT // loopback 自分から自分への通信は許可。

あとは個別に、使ってるポートだけ穴開け。

# sudo iptables -A INPUT -p tcp -s 192.168.0.0/24 --dport 22 -j ACCEPT

これでいいかな？

• 立ち上げ直後のiptablesを設定する。 - Qiita
• セキュリティ強化対策(Iptables編)

TIPS集†

個別に設定の削除†

$ sudo iptables -L --line-number

で行番号を表示して、

$ sudo iptables -D INPUT 2  ←行番号

で個別に削除可能

関連リンク†

• UbuntuをWebサーバで使う時のiptablesの例 - DB@WEB
• iptablesの設定 入門編 - Murayama blog.
• iptablesの設定方法 さくらのサポート情報

この記事は

現在のアクセス:1749

メニュー

• JavaのTIPS集
• VMware ESXiのTIPS集
• JenkinsのTIPS集
• Network
• MavenのTIPS集
• WEB開発
• AngularJSのTIPS集
• GruntのTIPS集
• GitHub
• PythonのTIPS集
• AWSのTIPS集
• curl
• Spring BootのTIPS集
• Docker
• Vagrant
• Zabbix
• Hubot
• Raspberry Pi
• Node.jsのTIPS集

わりかし古い話

• プラグイン開発の記事一覧
• プラグイン開発のTIPS集
• プラグイン開発の関連リンク
• ブックマークいろいろ

• StrutsのTIPS集
• MySQLのTIPS集
• HibernateのTIPS集
• SubversionのTIPS集

自作ツール

• 自作ツール/Moblog環境のメールフィルタ
• 自作ツール/opencsvPlus

• Web Recorder Plugin
• JavaBeans Generator
• GooglePlugin
• Plugin Document Creator
• DBをExcelにExportするAntタスク
• JavaDocument検索ツール

外部サイト

• JavaBeans Generator Plugin
• Google Plugin
• Google Plugin のバグトラッカ
• 自作ツールのバグトラッカ

よく見るBlog

• きのの、まずはやってみる
• Kino's Blog
• PrimeBrains(私の働いている会社)
• 株式会社プライム・ブレインズ - Qiita
• PrimeBrainsは一緒に働ける方を募集しています！
• Fly me to the Juno!
• 天使やカイザーと呼ばれて
• Eclipseプラグイン開発
• Eclipse開発 Blog

最新の20件

人気の50件

今日の10件

edit
ページ名変更

使用中のひと:2人